Preguntas y respuestas: ¿Qué sucede con sus datos si 23andMe colapsa?

A papel publicado en el New England Journal of Medicine Pide regulaciones para proteger los datos personales y genéticos de los clientes a la luz del futuro incierto de la Compañía Biotecnología 23andMe.

La firma de genealogía genética, lanzada en 2007, se volvió muy popular, con millones de clientes que envían muestras de saliva para su análisis para aprender sobre su ascendencia y maquillaje genético.

La compañía fue valorada en $ 6 mil millones, o $ 17.65 por acción, poco después de salir a bolsa en 2021. Desde entonces ha caído a alrededor de $ 48 millones, o $ 1.78 por acción, después de una violación de datos de 2023 y la renuncia de algunos miembros de la junta. La firma dijo en enero que está explorando «alternativas estratégicas», incluida una venta de la empresa o activos, reestructuración o combinación de negocios, entre otras opciones.

En esta conversación editada, I. Glenn Cohen, uno de los autores y director de facultad del documento del Centro Petrie-Flom de la Facultad de Derecho de Harvard, explica el paisaje legal que rodea los datos genéticos, las razones de más leyes de protección del consumidor y los pasos para que los consumidores protejan sus datos personales y genéticos.

Si 23andMe solicitara la protección de bancarrota, ¿qué podría pasar con los datos genéticos de 14 millones de personas que tiene la compañía?

Como 23andMe enfrenta dificultades financieras significativas y podría comprarse directamente o ir a la quiebra y sus activos vendidos, toda la información genética y de salud proporcionada por las personas es un activo valioso para la empresa. Muchas personas han utilizado servicios como 23andMe, Ancestry.com y otros, que son compañías de pruebas genéticas directas al consumidor, para responder preguntas sobre su ascendencia o su código genético.

Pero en el curso de responder estas preguntas por sí mismas, también han contribuido a estas enormes bases de datos genéticas. Nuestra preocupación es que puedan terminar en manos de alguien que no sea 23 años, de una manera que muchas personas que han dado su información a 23andMe nunca contemplaron y podrían objetar.

¿Cuáles son los posibles escenarios de casos y cuáles son sus preocupaciones?

Uno se trata de seguridad de datos. Vimos que 23andMe en sí estaba sujeto a una violación masiva de datos en 2023, y si la compañía que se hace cargo de los datos carece de buena seguridad de datos, existe la posibilidad de incumplimiento.

Curiosamente, una vez, el Pentágono le dijo al personal militar que no usara estos kits de ADN en el hogar porque estaba preocupado por la seguridad nacional. Una preocupación más cotidiana es que su información genética podría estar disponible para los demás, y es posible que pueda reidentificarse.

Para darle un ejemplo de un Estudiar varios años Hace, varios investigadores utilizaron datos genéticos para tratar de identificar, a través de lo que se llama tecnología y enfoque de Estudios de Asociación de todo el Genoma (GWAS), qué partes del genoma se asociaron con ser gay.

Muchas personas que habían dado su información genética estaban comprensiblemente molestas por la idea de que esto podría ser un posible uso de su información.

Entonces, si bien los clientes han tomado la decisión de compartir con 23andMe, de quienes obtienen mucho beneficio, realmente tienen muy poca dicho sobre lo que sucederá si la compañía se asume o si la compañía se declara en quiebra, y sus activos se venden.

¿Las regulaciones federales de privacidad de la salud ofrecen protecciones de privacidad a los consumidores?

La Ley de Responsabilidad de Portabilidad del Seguro del Salud (HIPAA) es la ley que, entre otras cosas, cuando habla con su médico, crea reglas sobre lo que se puede compartir bajo qué contexto.

El problema es que la definición de HIPAA de entidades cubiertas y socios comerciales significa que cuando ha proporcionado información, incluidos sus datos genéticos, no a un sistema hospitalario, no a un médico, sino a una compañía directa a consumidor como 23andMe, no está cubierto por HIPAA. Usted es tratado por la ley esencialmente como un consumidor, no como el paciente.

Ahora, hay otras leyes federales que lo cubren un poco. La Ley de no discriminación de información genética evita que las aseguradoras de salud, pero también los empleadores, usen información genética de una manera que sea discriminatoria. Por lo tanto, ese tipo de ley aún se aplicará, pero las leyes de privacidad de la salud a nivel federal no se aplicarán directamente cuando se trate con una empresa privada como 23andMe.

¿Qué pasa con las protecciones de privacidad que 23andMe ofrece a los consumidores?

Deberíamos decir en la parte delantera que solicita a sus consumidores el consentimiento para usar sus datos con fines de investigación. Existe la opción de no consentir, aunque aproximadamente el 80% de los consumidores han dado su consentimiento.

Los acuerdos del consumidor tienen una declaración de privacidad que dice que todos los clientes estadounidenses tienen ciertos derechos, como el derecho de optar por no participar en el almacenamiento de muestras de saliva y el derecho de solicitar la eliminación de su cuenta. También dice que no comparte información a nivel individual sobre enfermedades o genotipos, o desidentifica la información voluntariamente con compañías de seguros, empleadores, bases de datos públicas o agencias de aplicación de la ley sin una citación.

Pero la compañía comparte información personal con proveedores de servicios y contratistas para análisis de muestras, marketing y análisis. Además, la declaración de privacidad se reserva el derecho de la compañía de transferir la información personal de los clientes en caso de venta o bancarrota, y los clientes no pueden proteger sus datos de que se accedan, se vendan o transfieran como parte de esa transacción.

¿Pueden las leyes de bancarrota ofrecer algunas salvaguardas a los consumidores de 23 y los de 23 años?

Una de las coautores del artículo, Melissa Jacoby, es una académica de la ley de bancarrota. Mi especialidad es la ley de salud, pero haré todo lo posible para explicar. Muchas compañías que han tenido información confidencial se han declarado en bancarrota, y en el curso de esa bancarrota han vendido datos de consumidores a un tercero.

La ley de bancarrota ofrece algunas protecciones. La bancarrota en sí es un proceso público. Hay atención del público y, a veces, los reguladores, como el [Federal Trade Commission] o los generales del fiscal estatal, pueden involucrarse en los casos y pueden tratar de ingresar los procedimientos de bancarrota. Un tribunal federal supervisa una bancarrota, y el Programa de Fideicomisos de los Estados Unidos, una agencia dentro del Departamento de Justicia, a veces también puede involucrarse.

En algunos casos, la ley de bancarrota había requerido que un pueblo de privacidad del consumidor investigara una venta y determine si está de acuerdo con los estados de privacidad de la compañía en bancarrota, así como con la ley.

Estas son algunas protecciones, pero no son perfectas. Una cosa que queremos destacar es que cuando la mayoría de las personas han dado su información genética, nunca han pensado en esto, y solo queremos que las personas le presten atención.

¿Cuáles son sus recomendaciones de políticas para proteger los datos personales y genéticos de los consumidores?

Estados Unidos tiene una ley federal de privacidad de la salud que está un poco desactualizada en comparación con nuestros países pares de Europa. Una solución a este problema sería tener una protección de privacidad de datos más general que cubra todos los datos personales, incluidos los datos genéticos, y que también se aplicaría en casos de bancarrota.

Ha habido muchos intentos de lograr que el Congreso actualice de manera integral la ley federal de privacidad, incluidas las leyes de privacidad de la salud. Realmente no han tenido éxito. Entonces, no estamos conteniendo la respiración.

Un enfoque más específico podría ser pensar en expandir el alcance de la ley de HIPAA para cubrir a empresas como 23andMe, o potencialmente expandir lo que cubre la Ley de no discriminación de información genética, en términos de discriminación e información genética.

Las nuevas regulaciones también podrían abordar los casos cuando tiene la superposición de una empresa que tiene información genética y se declara en quiebra. Eso es lo que nos gustaría ver. Si sucederá, no estoy seguro.

¿Qué podían hacer los consumidores mientras tanto?

En el futuro, pensaría en estas cosas, ya que decide si el tipo de información que obtendrá de una empresa directa a consumidor como 23andMe vale la pena.

Además, cuando se le da el derecho de elegir no consentir para compartir datos, creo que vale la pena pensar en eso. Y si esto es algo que te preocupa, este podría ser un momento para entrar y eliminar esa información en tu cuenta, aunque no es una resolución perfecta.

Hay muchas razones por las cuales las personas tienen curiosidad sobre su ascendencia o información genética. Espero que esta experiencia también pueda hacer que las empresas sean más sensibles a la privacidad.

Me encantaría ver un espacio donde las personas puedan tener su pastel y comerlo también, para obtener la información que desean sin sentir que esa información podría ponerlos en riesgo si hay una quiebra y similares.

Proporcionado por Harvard Gazette

Esta historia se publica cortesía de la Gaceta de HarvardPeriódico oficial de la Universidad de Harvard. Para noticias universitarias adicionales, visite Harvard.edu.